Introdução

Em 10 de outubro de 1957, um incêndio ocorreu na Unidade 1 do complexo de reatores nucleares Windscale em Cumbria, Inglaterra. Nos dias seguintes, o incêndio lançou um estimado número de 740 terabecquerels de iodo radioativo-131 e outros produtos de fissão na atmosfera, tornando-o o pior acidente nuclear na história britânica e um dos mais conseqüentes nos primeiros anos de energia atômica. O incêndio Windscale expôs fraquezas críticas no projeto de reatores, procedimentos operacionais e supervisão regulatória.Ele forçou engenheiros, reguladores e formuladores de políticas a enfrentarem verdades desconfortáveis sobre os riscos inerentes à tecnologia nuclear.As lições tiradas da engenharia de segurança de reator Windscale reformaram o mundo, influenciando o desenvolvimento de estruturas de contenção, protocolos de emergência e cultura de segurança.

As Pilhas de Escala de Vento: Design e Finalidade

O local Windscale foi construído no final dos anos 1940 como parte do urgente esforço de pós-guerra da Grã-Bretanha para produzir plutônio para armas nucleares. Dois reatores refrigerados a ar, com grafite, moderados – conhecidos como Windscale Pile 1 e Pile 2 – começaram a funcionar em 1950 e 1951, respectivamente. Cada núcleo do reator consistia de um bloco maciço de grafite pura, aproximadamente 50 pés quadrados e 25 pés de altura, perfurado por canais horizontais que continham hastes de combustível de urânio. A refrigeração foi fornecida através de grandes volumes de ar através do núcleo usando ventiladores poderosos, com o ar aquecido então esgotado através de uma pilha alta depois de passar através de filtros projetados para prender partículas radioativas.

As pilhas foram projetadas para fins militares e não civis, o que influenciou fortemente sua filosofia de segurança. As quotas de produção vieram primeiro; as margens de segurança eram muitas vezes secundárias. O moderador de grafite, por exemplo, armazenava energia na forma de energia de Wigner – um fenômeno descoberto pelo físico Eugene Wigner – que poderia ser liberado de repente se o grafite fosse permitido superaquecer. Para controlar isso, os operadores realizavam periodicamente um processo de aquecimento controlado chamado "Libertação de energia de Wigner". Falha em gerenciar corretamente isso era um risco conhecido, mas a equipe de engenharia não tinha caracterizado totalmente o comportamento da grafite sob todas as condições. O projeto Windscale também não tinha qualquer estrutura de contenção secundária, uma característica que se tornaria padrão em reatores de potência posteriores.

A Cadeia de Eventos que Conduz ao Fogo

Annealing Run e decisões de operador

O gatilho imediato para o desastre foi uma operação de liberação de energia de Wigner de rotina no Pile 1, programada para a manhã de 10 de outubro de 1957. O procedimento envolveu a elevação gradual da temperatura do núcleo, reduzindo o fluxo de ar de resfriamento e ajustando as hastes de controle. Sob a direção do gerenciador de estacas, os operadores iniciaram o ciclo de aquecimento. No entanto, eles tinham apenas instrumentação limitada: termopares foram colocados esparsamente no núcleo, e leituras de temperatura em tempo real só poderia ser obtida a partir de alguns pontos. A equipe baseou-se em medições manuais periódicas com uma sonda de termopar inserida em canais de combustível selecionados.

À medida que o dia progredia, a temperatura central se comportava erraticamente. Os hotspots localizados apareceram nos canais de combustível 2672, 2919 e 2922 – áreas onde o grafite acumulava calor de forma desigual. Os operadores tentaram aumentar o fluxo de ar de refrigeração para controlar os picos, mas o projeto da pilha tornou impossível arrefecer canais individuais de forma independente. A temperatura continuou a subir, e por volta das 11:00, uma haste de combustível no canal 2672 rompeu seu revestimento de alumínio, expondo o metal de urânio ao ar. Nesse ponto, o fogo começou.

Falhas de concepção e acompanhamento inadequado

O acidente não foi resultado de uma única falha catastrófica, mas de múltiplas causas de raiz que se alinharam perfeitamente. Primeiro, o sistema de refrigeração não poderia fornecer controle de temperatura uniforme em todo o núcleo. Segundo, o número limitado de termopares significava que os operadores tinham pouca visibilidade de desenvolvimento de hotspots. Terceiro, não havia sistema de desligamento automático; os operadores tinham que avaliar manualmente as condições e intervir. Quarto, os filtros na pilha foram projetados para prender partículas, mas não iodo gasoso, que passou por grande parte sem obstáculos uma vez liberado. Finalmente, uma cultura de produção sobre segurança significou que os engenheiros estavam sob pressão para completar o recozimento executado rapidamente e devolver a pilha para produção de plutônio.

  • Distribuição inadequada do calor: O projecto refrigerado a ar não permitiu o controlo da temperatura localizado.
  • Insuficiência de instrumentação: Apenas um punhado de termopares monitorou um núcleo contendo milhares de canais.
  • Nenhum sistema de segurança automático: Tudo dependia do julgamento do operador sob estresse.
  • Pobre contenção:] Os filtros de pilha foram ineficazes contra gases radioativos.
  • Prioridade de produção: As preocupações de segurança foram frequentemente subordinadas ao cumprimento dos objectivos de plutónio.

Os Esforços Imediatos de Crise e Contenção

Uma vez confirmado o incêndio, uma resposta frenética começou. Bombeiros do local e cidades próximas foram chamados, mas a natureza do fogo – um moderador de grafite que queima com combustível de urânio – apresentou desafios únicos. A água poderia potencialmente causar uma explosão de vapor que iria romper o núcleo e liberar ainda mais radioatividade. Extintores de dióxido de carbono foram usados inicialmente, mas eles não poderiam apagar o fogo de grafite profundamente selado. Após esgotar outras opções, a equipe tomou uma decisão de vida ou morte: usar água. Na tarde de 11 de outubro, engenheiros começaram a bombear água diretamente para o núcleo usando mangueiras de fogo. O risco de explosão foi real, mas eles consideraram aceitável para evitar a destruição total da pilha.

A injeção de água funcionou. No início de 12 de outubro, as temperaturas do núcleo começaram a cair, e os bombeiros declararam o fogo sob controle. No entanto, o episódio estava longe de terminar. A decisão de esfriar o núcleo com água criou um novo perigo: a água reagiu com a grafite quente para produzir hidrogênio, e houve um perigo real de uma explosão de hidrogênio. Os operadores de ventilação cuidadosamente os gases e monitorados para fontes de ignição. Em 13 de outubro, o núcleo estava fresco o suficiente para iniciar o longo processo de limpeza e investigação.

O governo britânico tentou inicialmente manter o acidente em silêncio, mas as notícias vazaram rapidamente. Um inquérito oficial foi lançado, presidido por Sir William Penney, um personagem sênior no programa de armas atômicas do Reino Unido. O relatório Penney, publicado publicamente em novembro de 1957, descreveu francamente as falhas e fez uma série de recomendações que teriam impacto duradouro na segurança nuclear em todo o mundo.

Consequências da Saúde e do Ambiente

A liberação de iodo radioativo-131 contaminou uma grande área do noroeste da Inglaterra. O leite de vacas que pastavam em pastos downwind do local foi encontrado para conter níveis perigosos de iodo-131, um isótopo que se concentra na tireóide humana e pode causar câncer. As autoridades impuseram uma proibição do leite de uma área de 200 milhas quadradas, que permaneceu em vigor por várias semanas. Cerca de 240.000 litros de leite foram destruídos. Estudos posteriores estimaram que a população residente perto de Windscale recebeu uma dose média de radiação de cerca de 5 milisieverts, mas alguns indivíduos próximos ao local podem ter recebido até 50 mSv. Estudos epidemiológicos nas décadas após o acidente encontraram um pequeno aumento, mas estatisticamente significativo, nos cânceres de tireoide entre crianças que foram expostas no útero ou na infância.

Um estudo de 2007 do National Radiologic Protection Board (NRPB) sugeriu que o acidente causou cerca de 100 casos adicionais de câncer nos 50 anos seguintes, a maioria não fatal. Entretanto, alguns pesquisadores independentes argumentam que o número verdadeiro é maior, especialmente para o câncer de tireoide entre jovens. O incidente também levou a impactos significativos na saúde mental na comunidade local, impulsionados pelo medo da radiação e desconfiança de reafirmações oficiais.

Transformando a cultura de segurança do reator

Reformas a curto prazo no Reino Unido

No rescaldo imediato, as pilhas Windscale foram desligadas para modificação. Pile 1 nunca reiniciado; danos internos foi muito grave. Pile 2 foi reiniciado brevemente, mas fechou permanentemente em 1958. A Autoridade de Energia Atômica do Reino Unido (UKAEA) encomendou uma revisão completa de todas as suas instalações.

  • Instalação de termopares adicionais e melhor monitorização da temperatura em todos os reatores.
  • Reprojecção de procedimentos de recozimento para reactores com plasma de grafite para evitar excursões à temperatura.
  • Instituir um comité de segurança separado com autoridade para suspender as operações se as condições fossem inseguras.
  • Relatório obrigatório de todos os incidentes a uma autoridade central, quebrando a cultura anterior de sigilo.

Impacto global no regulamento nuclear

O incêndio em Windscale ressoou muito além da Grã-Bretanha. Ocorria em um momento em que muitos países estavam expandindo seus programas nucleares, tanto militares quanto civis. O evento catalisou a formação de organismos de segurança nacionais e internacionais mais rigorosos. Nos Estados Unidos, a Comissão de Energia Atômica (AEC) revisou seus próprios reatores de grafite e ordenou melhorias imediatas de segurança. Em 1959, a Agência Internacional de Energia Atômica (AIEA) foi criada, em parte em resposta ao crescente reconhecimento de que os acidentes nucleares poderiam ter efeitos transfronteiriços.

Uma das mudanças mais profundas foi na filosofia da contenção do reator.O projeto Windscale se baseou inteiramente nas paredes estruturais do edifício e filtros de pilha - um conceito conhecido como "contenção parcial".Depois do acidente, engenheiros argumentaram que reatores nucleares deveriam ser projetados com múltiplas barreiras independentes entre o núcleo radioativo e o ambiente.Esse princípio foi consagrado no "Princípio de Segurança 2" do Reino Unido e, mais tarde, no conceito da AIEA de "defence in profundeza".Os reatores de energia modernos, desde reatores de água pressurizados a reatores avançados refrigerados a gás, todos incorporam edifícios de contenção robustos que podem suportar graves acidentes internos e eventos externos.

Impacto na Engenharia do Reator: Da Escala de Ventos aos Designs Modernos

Características Passivas de Segurança

O fogo Windscale demonstrou que sistemas de segurança ativos – como ventiladores, bombas e ações do operador – podem falhar. Os projetos modernos de reatores dependem cada vez mais de recursos de segurança passivos que não requerem energia ou intervenção humana. Por exemplo, os reatores Generation III+ como o Westinghouse AP1000 e o russo VVER-1200 usam sistemas de refrigeração orientados pela gravidade, circulação natural de refrigerante e materiais resistentes à corrosão que reduzem o risco de superaquecimento do núcleo. Esses projetos incorporam lições de Windscale, Three Mile Island e Chernobyl, garantindo que, mesmo que todos os sistemas ativos sejam perdidos, o reator possa desligar e se refrescar com segurança.

Sistemas de Instrumentação e Controle

Uma das melhorias mais críticas tem sido a instrumentação e o controle. A rede de termopar esparsa em Windscale seria impensável hoje. Os reatores modernos implementam centenas ou milhares de sensores que alimentam dados em tempo real em salas de controle computadorizadas. Os algoritmos de inteligência artificial e aprendizado de máquina agora analisam padrões de fluxo de temperatura, pressão e nêutrons para detectar anomalias antes de se desenvolverem em acidentes. A prática de "manutenção preditiva" auxiliada por esses sistemas evita corrosão, fadiga e outros modos de degradação que podem levar a falhas de segurança.

Estruturas de contenção

O legado de engenharia mais visível da Windscale é o edifício de contenção endurecido. Cada reator de energia comercial construído após 1960 inclui uma cúpula de contenção de concreto e aço grossa projetada para suportar pressões internas extremas (até 60 psi) e forças externas, como terremotos e impactos de aeronaves. A contenção também incorpora sistemas de ventilação filtrada que podem liberar pressão durante um acidente grave, enquanto aprisiona partículas radioativas. Estes sistemas são projetados especificamente para evitar o tipo de liberação descontrolada que aconteceu em Windscale.

Preparação e Resposta de Emergência

A resposta caótica e secreta ao incêndio em Windscale levou diretamente ao estabelecimento de planos formais de emergência para os locais nucleares. No Reino Unido, o Grupo de Planejamento e Resposta de Emergência Nuclear (NEPRG) foi formado na década de 1960, e na década de 1980, todos os locais nucleares licenciados foram obrigados a manter centros de emergência fora do local e realizar exercícios regulares. Internacionalmente, o sistema de Preparação e Resposta de Emergência da AIEA foi criado para coordenar a partilha de informações durante incidentes nucleares. A zona de evacuação de três milhas que foi instituída em torno de reatores civis após Windscale foi refinado usando avaliação probabilística de risco e análise de termo de origem.

Legado e Relevância Continua

Comparação com Acidentes Mais Atrasados

O incêndio em Windscale é frequentemente comparado com a Ilha Three Mile (1979), Chernobyl (1986) e Fukushima Daiichi (2011). Cada acidente revelou vulnerabilidades diferentes. Windscale contribuiu com a lição de que mesmo um incêndio em grafite em um reator refrigerado a ar poderia ter consequências graves fora do local se a contenção é inadequada. Três Mile Island mostrou que pequenos erros de operador podem cascata em um colapso parcial mesmo em um reator bem-contido. Chernobyl destacou os perigos de um coeficiente vazio positivo e uma falta de contenção. Fukushima expôs a ameaça de eventos naturais além-desenhamento. Coletivamente, esses acidentes conduziram a evolução dos padrões de segurança para uma abordagem "caso de segurança" que requer que os operadores demonstrem que todos os cenários de acidentes credíveis são adequadamente atenuados.

Práticas atuais de segurança

A engenharia moderna de segurança de reatores caracteriza-se por uma avaliação de segurança probabilística (PSA), que quantifica a probabilidade de sequências de acidentes e suas consequências. Esta abordagem era praticamente desconhecida na época da Windscale. Hoje, cada pedido de licença de reator inclui um PSA que modela milhares de possíveis caminhos de falha, desde quebras de tubulação até perda de energia fora do local. As decisões de projeto de guia de resultados, horários de manutenção e planejamento de emergência. As lições de Windscale estão incorporadas na exigência de sistemas de segurança diversos, redundantes e independentes. Por exemplo, os Reatores Avançados de Gás (AGRs) do Reino Unido incorporam núcleos de grafite, mas com sistemas de monitoramento e fechamento automáticos muito melhorados que impedem as condições que levaram ao incêndio de 1957.

Além disso, a cultura da segurança mudou. A noção de "cultura de segurança" tornou-se um conceito formal após o acidente de Chernobil, mas suas raízes estão na experiência Windscale. Organizações como a Associação Mundial de Operadores Nucleares (WANO) agora realizam avaliações por pares e indicadores de desempenho para garantir que as usinas nucleares mantenham uma atitude de questionamento e um compromisso com a melhoria contínua.

Conclusão

O incêndio em Windscale de 1957 foi um professor duro. Ele demonstrou que até mesmo uma instalação nuclear bem operada poderia sofrer um acidente catastrófico se as suposições de projeto fossem falhas e as margens de segurança fossem inadequadas.O evento levou a um repensar fundamental da engenharia de segurança de reatores, das barreiras físicas em torno do núcleo para os quadros institucionais que governam as operações.Os edifícios de contenção, sistemas de segurança redundantes, treinamento rigoroso e processos regulatórios transparentes que definem a segurança nuclear moderna, tudo isso remonta às lições aprendidas em Cumbria.Como o mundo considera o futuro da energia nuclear – seja para a energia de base, produção de hidrogênio ou descarbonização profunda – o legado da Windscale serve como um lembrete de que a segurança nunca deve ser comprometida para a produção, e que a aprendizagem contínua de incidentes passados é o caminho mais seguro para prevenir os futuros.

Para mais informações:] O texto integral do relatório Penney está disponível através do UK National Archives.A Associação Mundial Nuclear fornece um resumo pormenorizado do acidente e das suas consequências .Para uma análise técnica do comportamento da grafite nos reactores, ver a publicação da AIEA "Caracterização, Tratamento e Condicionamento da Grafite Radioactiva de Desactivação dos Reactores Nucleares".